NUEVA VARIANTE DE SPY ZBOT-Y SOLO DETECTADA POR LA MITAD DE LOS ANTIVIRUS ACTUALES

Una nueva variante de Rootkit Spy ZBOT-Y ha sido detectada por la heuristica del ELISTARA y pedida muestra para analizar, la cual en el preanalisis ha sido confirmada como malware:
File name: ANCUC.EXE.Muestra EliStartPage v21.78
Submission date: 2010-10-13 16:49:37 (UTC)
Current status: finished
Result: 23 /43 (53.5%)
 VT Community

malware
 Safety score: 0.0% 
Compact Print results Antivirus Version Last Update Result
AhnLab-V3 2010.10.13.01 2010.10.13 –
AntiVir 7.10.12.208 2010.10.13 –
Antiy-AVL 2.0.3.7 2010.10.13 Trojan/Win32.Zbot.gen
Authentium 5.2.0.5 2010.10.13 –
Avast 4.8.1351.0 2010.10.13 Win32:Malware-gen
Avast5 5.0.594.0 2010.10.13 Win32:Malware-gen
AVG 9.0.0.851 2010.10.13 Generic19.AFXL
BitDefender 7.2 2010.10.13 Trojan.Generic.KDV.44169
CAT-QuickHeal 11.00 2010.10.13 (Suspicious) – DNAScan
ClamAV 0.96.2.0-git 2010.10.13 Trojan.Zbot-12201
Comodo 6378 2010.10.13 –
DrWeb 5.0.2.03300 2010.10.13 Trojan.PWS.Panda.387
Emsisoft 5.0.0.50 2010.10.13 –
eSafe 7.0.17.0 2010.10.12 –
eTrust-Vet 36.1.7908 2010.10.13 –
F-Prot 4.6.2.117 2010.10.12 –
F-Secure 9.0.15370.0 2010.10.13 Trojan.Generic.KDV.44169
Fortinet 4.2.249.0 2010.10.13 –
GData 21 2010.10.13 Trojan.Generic.KDV.44169
Ikarus T3.1.1.90.0 2010.10.13 –
Jiangmin 13.0.900 2010.10.13 TrojanSpy.Zbot.qcp
K7AntiVirus 9.65.2742 2010.10.13 –
Kaspersky 7.0.0.125 2010.10.13 Trojan-Spy.Win32.Zbot.apvs
McAfee 5.400.0.1158 2010.10.13 Suspect-BA!1239818F4227
McAfee-GW-Edition 2010.1C 2010.10.13 Heuristic.LooksLike.Win32.SuspiciousPE.J!87
Microsoft 1.6201 2010.10.13 –
NOD32 5528 2010.10.13 a variant of Win32/Kryptik.GTF
Norman 6.06.07 2010.10.12 –
nProtect 2010-10-13.01 2010.10.13 Trojan-Spy/W32.ZBot.150016.Y
Panda 10.0.2.7 2010.10.13 Trj/Sinowal.WEZ
PCTools 7.0.3.5 2010.10.13 –
Prevx 3.0 2010.10.13 High Risk Fraudulent Security Program
Rising 22.69.02.04 2010.10.13 –
Sophos 4.58.0 2010.10.13 Mal/Zbot-AJ
Sunbelt 7050 2010.10.13 –
SUPERAntiSpyware 4.40.0.1006 2010.10.13 –
Symantec 20101.2.0.161 2010.10.13 –
TheHacker 6.7.0.1.056 2010.10.13 Trojan/Kryptik.gtf
TrendMicro 9.120.0.1004 2010.10.13 TSPY_ZBOT.SMZF
TrendMicro-HouseCall 9.120.0.1004 2010.10.13 TSPY_ZBOT.SMZF
VBA32 3.12.14.1 2010.10.13 Malware-Cryptor.Win32.General.3
ViRobot 2010.9.25.4060 2010.10.13 –
VirusBuster 12.68.1.0 2010.10.13 –

MD5   : 1239818f42276d75a12d041d7488634e
SHA1  : be8b9c4e3a30b3af3e12e4e24b285dc8ec0bbdec

Casi la mitad de los AV no lo controlan, entre los que vemos algunos tan conocidos como los de F-Prot, F-Secure, Fortinet, Microsoft, Norman, PcTools, Superantispyware y Symantec

A partir de la versión de hoy 21.79 del ELISTARA (ya disponible) se controla y elimina esta nueva variante del ZBOT.

saludos

ms, 13-10-2010